Como funciona o âmbito da NIS2
Três perguntas decidem (Diretiva (UE) 2022/2555, art.os 2.º-3.º):
- Setor. O seu tipo de entidade consta do Anexo I (energia, transportes, banca, infraestruturas do mercado financeiro, saúde, água potável e águas residuais, infraestruturas digitais, gestão de serviços de TIC, administração pública, espaço) ou do Anexo II (serviços postais, resíduos, produtos químicos, alimentação, fabrico de dispositivos médicos, eletrónica, equipamento elétrico, máquinas, veículos e outro equipamento de transporte, prestadores de serviços digitais, investigação)?
- Dimensão. É pelo menos uma média empresa na aceção da Recomendação 2003/361/CE?
- Exceções. Algumas entidades estão abrangidas seja qual for a dimensão, e os Estados-Membros podem acrescentar outras.
Limiares de dimensão
| Categoria | Efetivos | e volume de negócios | ou balanço | Efeito NIS2 (se num setor de um Anexo) |
|---|---|---|---|---|
| Micro | < 10 | ≤ 2 M EUR | ≤ 2 M EUR | Fora, salvo se independente da dimensão |
| Pequena | < 50 | ≤ 10 M EUR | ≤ 10 M EUR | Fora, salvo se independente da dimensão |
| Médio | < 250 | ≤ 50 M EUR | ≤ 43 M EUR | Importante (Anexos I e II) |
| Grande | Ultrapassa os limites das médias empresas | Essencial (Anexo I), importante (Anexo II) | ||
O limite de efetivos aplica-se sempre; quanto aos valores monetários, basta ficar dentro de um dos limites: o do volume de negócios ou o do balanço. Uma empresa com 40 trabalhadores, 12 milhões de EUR de volume de negócios e um balanço de 8 milhões de EUR continua a ser pequena. Uma com 40 trabalhadores e 12 milhões de EUR em ambos é média e está abrangida se o seu setor constar da lista. A categoria só muda quando os limites são ultrapassados em dois exercícios consecutivos (art.º 4.º, n.º 2, do Anexo).
Abrangidas independentemente da dimensão
- Sempre essenciais: prestadores qualificados de serviços de confiança, registos de nomes de TLD e prestadores de serviços de DNS (art.º 3.º, n.º 1, alínea b)); entidades da administração central (art.º 3.º, n.º 1, alínea d)); entidades críticas ao abrigo da Diretiva CER (art.º 3.º, n.º 1, alínea f)).
- Abrangidas com qualquer dimensão: fornecedores de redes ou serviços públicos de comunicações eletrónicas (essenciais a partir de média dimensão, art.º 3.º, n.º 1, alínea c)) e prestadores não qualificados de serviços de confiança (art.º 2.º, n.º 2, alínea a)).
- Designadas pelo Estado-Membro: prestadores únicos de um serviço essencial, ou entidades cuja perturbação afetaria a segurança pública, a proteção ou a saúde, criaria risco sistémico ou tem importância específica a nível nacional ou regional (art.º 2.º, n.º 2, alíneas b) a e)).
- Os serviços de registo de nomes de domínio estão abrangidos quanto aos deveres relativos aos dados de registo do artigo 28.º (art.º 2.º, n.º 4).
Essencial ou importante: o que muda
Ambas as categorias têm de adotar as medidas de gestão de riscos do artigo 21.º, fazê-las aprovar e supervisionar pelo órgão de administração (art.º 20.º) e comunicar incidentes significativos (art.º 23.º). A diferença está na supervisão e nas coimas. As entidades essenciais são supervisionadas de forma proativa (art.º 32.º) e enfrentam coimas de, pelo menos, até 10 milhões de EUR ou 2 % do volume de negócios mundial; as entidades importantes são supervisionadas a posteriori (art.º 33.º), com coimas de, pelo menos, até 7 milhões de EUR ou 1,4 % (art.º 34.º). As entidades financeiras abrangidas pelo DORA seguem o DORA para o risco das TIC e a comunicação de incidentes (art.º 4.º).
Fora do âmbito, mas ainda assim questionado
O artigo 21.º, n.º 2, alínea d), torna as entidades NIS2 responsáveis pela segurança da sua cadeia de abastecimento. Conte com questionários de segurança, cláusulas contratuais e direitos de auditoria por parte de clientes abrangidos, sobretudo se fornecer TI, software, alojamento ou componentes. Ter as políticas, o estado da ISO 27001 e o processo de incidentes documentados poupa dias por questionário.
Notas por país
- Países Baixos: Cyberbeveiligingswet em vigor desde 15 de agosto de 2026 (Rijksoverheid); registo através do MijnNCSC; autoavaliação oficial do NCSC. Em detalhe: Valt mijn organisatie onder de Cbw?
- Itália: D.Lgs. 138/2024, em vigor desde 16 de outubro de 2024, com categorias adicionais nos Anexos III e IV; registo anual no portal da ACN entre 1 de janeiro e 28 de fevereiro. Em detalhe: La NIS2 si applica alla mia azienda?
- Bélgica: lei NIS2 de 26 de abril de 2024, em vigor desde 18 de outubro de 2024, sob supervisão do CCB; as entidades essenciais tinham um primeiro prazo de avaliação da conformidade a 18 de abril de 2026 (via CyFun ou ISO/IEC 27001).
- Alemanha: NIS2UmsuCG (BGBl. 2025 I Nr. 301) em vigor desde 6 de dezembro de 2025; registo junto do BSI; consulte as perguntas frequentes do BSI.
O que pode mudar
A 20 de janeiro de 2026, a Comissão propôs alterações específicas à NIS2, incluindo uma categoria de «pequenas empresas de média capitalização» (menos de 750 trabalhadores e volume de negócios até 150 milhões de EUR ou balanço até 129 milhões de EUR) cujos membros poderiam ser, no máximo, entidades importantes. A 1 de outubro de 2026, trata-se de uma proposta em processo legislativo; a verificação aplica a Diretiva em vigor.
Apenas indicativo, não constitui aconselhamento jurídico. As transposições nacionais podem acrescentar setores ou entidades, e é a sua autoridade competente que decide sobre a designação e o registo.